AVV
Aktualisiert 28.08.26
Dieser Auftragsverarbeitungsvertrag (AVV) gilt zwischen dem Kunden als Verantwortlichem und der CustCom UG (haftungsbeschränkt) als Auftragsverarbeiterin, sobald der Kunde CustMail nutzt und dabei personenbezogene Daten im Auftrag verarbeiten lässt.
1. Gegenstand, Dauer und Spezifikation
Gegenstand ist die Bereitstellung von CustMail: Anbindung von Postfächern, Zwischenspeicherung von Nachrichten in Europa, Inbox- und Teamfunktionen, Regeln sowie kalenderbezogene Verarbeitung, soweit im jeweiligen Tarif enthalten.
Die Dauer entspricht der Laufzeit des Hauptvertrags (AGB). Mit Beendigung des Hauptvertrags endet auch dieser AVV, unbeschadet Pflichten zur Löschung, Rückgabe und Nachweis.
2. Rollen und Weisungen
Der Kunde ist Verantwortlicher für personenbezogene Daten in angebundenen Postfächern, Workspaces und von ihm angelegten Inhalten. CustCom verarbeitet diese Daten ausschließlich als Auftragsverarbeiter nach Art. 28 DSGVO.
Die Verarbeitung erfolgt nur auf dokumentierte Weisung des Kunden, es sei denn, eine Verarbeitung ist rechtlich vorgeschrieben. Der Kunde steht dafür ein, dass seine Weisungen den Datenschutzvorschriften entsprechen. Offensichtlich rechtswidrige Weisungen dürfen wir zurückweisen.
3. Art der Daten und betroffene Personen
Verarbeitet werden können insbesondere Identifikations- und Kontaktdaten, E-Mail-Inhalte, Metadaten (Absender, Empfänger, Betreff, Zeit, Ordner), Anhänge-Metadaten, Kalenderangaben, Regelwerke sowie Nutzungs- und Protokolldaten, soweit sie dem Workspace zuzuordnen sind.
Betroffene Personen sind je nach Einsatz Mitarbeiter, Kunden, Lieferanten und sonstige Kommunikationspartner des Kunden. Besondere Kategorien personenbezogener Daten verarbeiten wir nur, wenn sie in den vom Kunden übermittelten Inhalten enthalten sind; eine gezielte Erhebung solcher Kategorien für eigene Zwecke findet nicht statt.
4. Technische und organisatorische Maßnahmen
Wir treffen geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO, insbesondere Verschlüsselung des Postfach-Caches, Zugangsbeschränkung, getrennte Workspaces, Protokollierung sicherheitsrelevanter Ereignisse und Hosting in der Europäischen Union, soweit der Dienst das vorsieht.
Maßnahmen dürfen weiterentwickelt werden, sofern das Schutzniveau nicht abgesenkt wird. Eine aktuelle Beschreibung stellen wir dem Kunden auf Anfrage zur Verfügung.
5. Unterauftragsverarbeiter
Der Kunde erteilt die allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen, soweit diese ebenfalls auf Art. 28 DSGVO verpflichtet werden und ein angemessenes Schutzniveau besteht.
Wesentliche Wechsel teilen wir mit angemessener Vorlaufzeit mit. Der Kunde kann aus berechtigtem datenschutzrechtlichem Grund widersprechen. Kommt keine Einigung zustande, darf jede Partei den betroffenen Teil der Leistung oder den Vertrag kündigen.
6. Unterstützung, Meldung und Betroffenenrechte
Wir unterstützen den Kunden nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Betroffenenanfragen sowie bei Datenschutz-Folgenabschätzungen und Konsultationen mit Aufsichtsbehörden, soweit sich die Verarbeitung auf CustMail bezieht.
Eine Verletzung des Schutzes personenbezogener Daten, die uns bekannt wird und den Auftrag betrifft, melden wir dem Kunden unverzüglich, mit den uns vorliegenden Informationen gemäß Art. 33 DSGVO.
7. Löschung und Rückgabe
Nach Ende der Verarbeitung löschen oder geben wir alle personenbezogenen Daten des Auftrags zurück, sofern nicht eine gesetzliche Aufbewahrungspflicht entgegensteht. Der Kunde kann vor Vertragsende Exportfunktionen nutzen, soweit der Tarif sie vorsieht.
Sicherungsmedien können mit üblicher Verzögerung überschrieben werden. Protokolle mit Nachweischarakter dürfen wir im erforderlichen Umfang aufbewahren.
8. Kontrollrechte und Vertraulichkeit
Der Kunde darf die Einhaltung dieses AVV in angemessenen Abständen prüfen, etwa durch Auskünfte, Nachweise oder – bei berechtigtem Anlass – durch Inspektionen während der üblichen Geschäftszeiten, ohne den Betrieb unverhältnismäßig zu stören. Externe Prüfer sind zur Verschwiegenheit zu verpflichten.
Personen, die auftragsgemäß Daten verarbeiten, sind zur Vertraulichkeit verpflichtet, auch nach Ende ihrer Tätigkeit.
9. Haftung und Schlussbestimmungen
Die Haftung der Parteien im Innenverhältnis richtet sich nach Art. 82 DSGVO und den Haftungsregeln der AGB, soweit diese den zwingenden Datenschutz nicht unterlaufen.
Es gilt das Recht der Bundesrepublik Deutschland. Änderungen dieses AVV bedürfen der Textform. Widersprechen zwingende Vorschriften der DSGVO einzelnen Klauseln, gehen diese Vorschriften vor.